Vulnerabilidad en FreshRSS (CVE-2025-68402)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

09/03/2026

Última modificación:

11/03/2026

Descripción

FreshRSS es un agregador RSS gratuito y autoalojable. Desde 57e1a37 - 00f2f04, la longitud del nonce se cambió de 40 caracteres a 64. password_verify() se está llamando actualmente con una cadena construida (nonce SHA-256 + parte de un hash bcrypt) en lugar de la contraseña de usuario sin procesar. Debido a la truncación de entrada de 72 bytes de bcrypt, esto provoca que la verificación de la contraseña tenga éxito incluso cuando el usuario introduce una contraseña incorrecta. Esta vulnerabilidad está corregida en 1.27.2-dev (476e57b). El problema solo estuvo presente en la rama &#39;edge&#39; y nunca en una versión estable.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.20

Gravedad 4.0

ALTA

Vulnerabilidad en FreshRSS (CVE-2025-68402)

Descripción

Impacto

Referencias a soluciones, herramientas e información